【漏洞預警】新人類科技資訊 FlowMaster BPM Plus 存在多個重大資安漏洞

您在這裡

2024.10.18 發佈

[內容說明:]

轉發台灣電腦網路危機處理暨協調中心 TWCERTCC-200-202410-00000005

TWCERT/CC於20241015發布關於新人類科技資訊 FlowMaster BPM Plus的重大資安漏洞

【新人類資訊 FlowMaster BPM Plus - Privilege Escalation】

(TVN-202410007，CVE-2024-9970，CVSS：8.8) 新人類資訊 FlowMaster BPM Plus

存在權限提升漏洞，已取得一般權限的遠端攻擊者可透過竄改特定cookie將權限提升至管理者權限。

【新人類資訊 FlowMaster BPM Plus - SQL Injection】

(TVN-202410008，CVE-2024-9971，CVSS：8.8) 新人類資訊 FlowMaster BPM Plus

特定查詢功能未妥善限制使用者輸入，允許已獲得一般權限的遠端攻擊者注入SQL指令讀取、

修改、刪除資料庫內容。

[影響平台:]

FlowMaster BPM Plus Service Pack v5.3.1(不含)以前版本

[建議措施:]

更新 Service Pack 至 v5.3.1(含)以後版本

[參考資料:]

1. 新人類資訊 FlowMaster BPM Plus - Privilege Escalation：

2. 新人類資訊 FlowMaster BPM Plus - SQL Injection：

[影響等級:] 中